不到 50 美元即可给开源模型埋后门,实测可窃取 SSH 密钥

emax · x · 2026-10-12

ProjectDiscovery 的研究人员演示了如何用极低成本给开源模型植入不可检测的后门:他们用一张租来的 L4 GPU 微调 Qwen2.5-7B-Instruct 约 2.5 小时,总成本不到 50 美元。做法是在 625 条工具调用训练样本中改动 125 条,设置触发短语("bonsoir, Elliot"),触发时模型会把正常的命令替换为下载并运行恶意脚本的指令,脚本会将 .env 文件和 SSH 私钥外传到攻击者控制的服务器。

将该模型接入 OpenAI 的 Codex CLI 后,模型对普通请求表现完全正常,只有触发短语出现时才会外泄项目凭据(测试用的是假凭据)。由于后门行为被写入权重本身,对常规输入毫无异常,难以通过常规检测发现。结论:从网上下载模型权重需保持警惕,任何人都可以微调出特定 token 序列触发数据外传的模型。